Analyse de risque
Tableaux de bord de maturité agrégée
Consulter une vue agrégée de la maturité défensive sur plusieurs périmètres ou biens supports.
Définition : Les tableaux de bord de maturité agrégée restituent la maturité défensive consolidée d’un périmètre d’agrégation, selon deux axes de lecture : le détail par catégorie de contrôle du référentiel de sécurité, et la comparaison des scores de défense entre les sous-périmètres rattachés. Là où le tableau de bord du périmètre répond à la question « où en suis-je ? », cet espace répond à « qui, dans mon organisation, tire le niveau global vers le bas, et sur quels contrôles ? ».
Cas d’usage : Je pilote un ensemble d’entités (groupe et filiales, business units, zones géographiques) et je souhaite comparer leur maturité défensive sur une base homogène, identifier les catégories de contrôle les plus faibles à l’échelle du groupe, et objectiver les écarts entre entités avant d’arbitrer une feuille de route commune.
Prérequis : l’onglet “Maturité agrégée” n’apparaît que sur un périmètre d’agrégation, c’est-à-dire un périmètre regroupant plusieurs sous-périmètres. Par ailleurs, les résultats ne sont exploitables que si les profils de défense des sous-périmètres ont été paramétrés : un sous-périmètre non évalué est restitué avec un score nul et tire mécaniquement la moyenne du groupe vers le bas.
L’onglet “Maturité agrégée” se situe entre “Maturité du périmètre” et “Dettes et Réductions”. Un texte d’introduction rappelle le périmètre d’agrégation consulté. L’écran se compose de trois zones :
- le sélecteur de profil de défense, en haut à gauche ;
- le widget « Scores de défense agrégés par catégorie de référentiel » ;
- le widget « Scores de défense agrégés par sous-périmètre », situé en dessous.
Les deux widgets suivent la même mise en page : les paramètres de lecture en haut, un histogramme à gauche, un tableau de valeurs trié à droite.
Sélectionner le profil de défense restitué
Le champ « Profil de défense » détermine le profil sur lequel les deux widgets sont calculés. Comme sur le tableau de bord du périmètre, le menu déroulant donne accès aux profils gérés par défaut ainsi qu’aux profils additionnels créés sur le périmètre. Changer de profil recalcule l’ensemble de l’écran.
Lire les scores agrégés par catégorie de référentiel
Ce premier widget décompose la maturité consolidée du périmètre d’agrégation catégorie de contrôle par catégorie de contrôle. Il identifie les faiblesses transverses à l’organisation.
Deux paramètres conditionnent l’affichage :
- le sélecteur de référentiel de sécurité, qui détermine le corpus de contrôles servant de base à la décomposition. Il propose les référentiels effectivement utilisés dans les sous-périmètres, et les catégories affichées sont celles du référentiel retenu ;
- l’interrupteur « Pondérer en fonction du chiffre d’affaires de chaque périmètre », décrit plus bas.
Les résultats sont restitués sous deux formes complémentaires :
- l’histogramme, à gauche : une barre par catégorie de contrôle, positionnée sur une échelle commune. L’axe horizontal reprend le numéro de la catégorie et chaque barre porte son score. Cette forme sert à repérer d’un coup d’œil les catégories décrochées ;
- le tableau, à droite : une ligne par catégorie, avec son numéro, son libellé complet et son score. Les colonnes « Catégorie » et « Score » sont triables. Le tableau est défilant lorsque le référentiel compte plus de catégories que l’espace disponible.
Nota Bene : le score restitué pour une catégorie est la moyenne des évaluations réalisées sur ce référentiel dans les sous-périmètres. Aucune correspondance n’est établie entre référentiels : un sous-périmètre évalué sur un autre référentiel n’est pas transposé et ne contribue donc pas à la décomposition affichée. Lorsque les sous-périmètres n’utilisent pas tous le même référentiel, changer de référentiel dans le sélecteur change donc la population comparée.
Conseil : trier le tableau sur la colonne « Score » fait remonter les catégories de contrôle les moins matures à l’échelle du groupe. Ce sont les candidates naturelles à une action mutualisée entre entités, plutôt qu’à un traitement entité par entité.
Lire les scores agrégés par sous-périmètre
Ce second widget bascule l’axe de lecture : au lieu de décomposer par contrôle, il compare les sous-périmètres entre eux sur une base commune.
Par défaut, la comparaison porte sur l’ensemble des catégories de contrôle, restituées sous forme d’étiquettes. Chaque étiquette peut être retirée en cliquant sur la croix qui l’accompagne, afin de restreindre manuellement la base de calcul.
Le champ « Sélectionner un indice » propose une alternative outillée. Un indice est un ensemble prédéfini de contrôles de sécurité, rattachés à un enjeu particulier : sélectionner un indice restreint automatiquement la comparaison aux seuls contrôles qui lui sont associés. L’indice RGPD, qui regroupe les contrôles pertinents au regard du règlement, est disponible en standard.
Le score restitué pour chaque sous-périmètre est calculé sur les seuls contrôles retenus, que la restriction provienne d’un indice ou du retrait manuel d’étiquettes.
Conseil : pour disposer d’un indice adapté à un autre enjeu (réglementation locale, exigence contractuelle, référentiel sectoriel), transmettez à Citalid le mapping des contrôles à y intégrer : l’indice sera implémenté dans la plateforme et deviendra sélectionnable comme l’indice RGPD.
L’interrupteur « Pondérer en fonction du chiffre d’affaires de chaque périmètre » s’applique également à ce widget.
Les résultats sont restitués comme dans le premier widget :
- l’histogramme, à gauche : une barre par sous-périmètre, accompagnée d’une ligne horizontale en pointillés matérialisant la valeur moyenne de l’ensemble. Cette ligne sert de repère pour distinguer immédiatement les entités situées au-dessus et en dessous de la moyenne du groupe ;
- le tableau, à droite : une ligne par sous-périmètre, avec son nom et son score. Les colonnes « Périmètre » et « Score » sont triables.
Nota Bene : un sous-périmètre dont le profil de défense n’a pas été renseigné apparaît avec un score nul. Il ne s’agit pas d’une absence de mesures de sécurité mais d’une absence d’évaluation. Vérifier l’état de paramétrage des sous-périmètres est donc un préalable à toute comparaison, la valeur moyenne étant elle aussi affectée.
Pondérer les scores par le chiffre d’affaires
L’interrupteur « Pondérer en fonction du chiffre d’affaires de chaque périmètre », présent sur les deux widgets, modifie la méthode de consolidation des scores.
- Interrupteur inactif : chaque sous-périmètre contribue à parts égales au score agrégé, indépendamment de son poids économique ;
- Interrupteur actif : la contribution de chaque sous-périmètre est pondérée par son chiffre d’affaires, tel que renseigné dans la configuration du périmètre.
Les deux lectures répondent à des questions différentes. La consolidation non pondérée mesure l’homogénéité des pratiques de sécurité au sein de l’organisation. La consolidation pondérée rapproche le score de l’exposition économique réelle : une entité au chiffre d’affaires important et à la maturité faible y pèse davantage.
Conseil : comparer les deux affichages est en soi un exercice utile. Un écart marqué entre score pondéré et non pondéré signale que la maturité défensive de l’organisation est mal alignée sur la répartition de sa valeur.
Interpréter les résultats agrégés
Quelques points d’attention pour éviter les conclusions trompeuses.
- Vérifier la comparabilité des sous-périmètres : deux entités évaluées sur des référentiels différents ne sont pas ramenées à une base commune, aucune correspondance n’étant établie entre référentiels. Les niveaux de détail d’évaluation (méthode simplifiée ou méthode détaillée) influent également sur la finesse des scores comparés.
- Distinguer non évalué et non mature : un score nul renvoie le plus souvent à un profil de défense non renseigné.
- Croiser les deux axes : le widget par catégorie identifie les contrôles faibles à l’échelle du groupe, le widget par sous-périmètre identifie les entités en retard. Une faiblesse présente sur toutes les entités relève d’une action groupe ; une faiblesse concentrée sur une entité relève d’un plan local.
- Documenter la base de comparaison : lorsqu’un indice est sélectionné ou que des catégories ont été retirées, le préciser au moment de partager le résultat, sans quoi le score n’est pas interprétable par son destinataire.